個人情報保護法は、令和2年に改正され令和4年から施行されることになっていた。令和3年にもデジタルトランスフォーメーション関連の法律が制定されたために再度大きく改正され、令和5年から施行される見通しである。このため、令和2年改正法が令和4年に施行、令和3年改正法が令和5年に施行というように、2年連続で改正法が施行されることになるが、民間事業者に対して与える影響が大きいのは令和2年改正のほうであろう。報告・本人への通知がついに義務化された点である。Obligation)と呼ばれているものに該当すると考えられる。セキュリティ侵害通知義務は、2002年にアメリカのカリフォルニア州が州法として制定して翌年から施行したことにより普及するようになった。現在ではアメリカでは50州すべてとコロンビア特別区で制定されているほか、連邦法では医療福祉領域と金融領域などで監督機関への報告と本人への通知義務を定めている。Directive、ネットワークおよび情報セキュリティ指令)も、社会基盤となるサービスを提供している事業者にインシデント報告義務を課している。恐れの有無と内容、その他参考となる情報とされている。関する考察」『情報ネットワークロー・レビュー』11巻(2012年)などの論文で、カリフォルニア州以外の州にも州法制定の動きが広まりつつあることを踏まえ、日本における導入の可能性について言及した。理論的にも、当時、個人情報に関する自己情報コントロールの概念が注目されるようになっていたが、自己の個人情報の漏えいを本人が知り得ない状況では自己情報のコントロールのしようがないと思われたからである。それに対して否定的な反応が多く、日本における導入は非現実的と言われることもあった。ヒューマンエラーが原因というような場合を除き、サイバー攻撃によって個人情報が流出した場合には事業者もまたサイバー犯罪の被害者であって、監督機関への報告や本人への通知を義務付けることは、被害者である事業者にさらに負担を課すことになるという見方もあった。令和2年改正法の施行によって、日本にもセキュリティ侵害通知義務が導入されることになるが、依然として理論的な側面からの問題は残っている。セキュリティ侵害通知義務を自己情報コントロール権の具体化という観点からとらえるのであれば、1,000人を超える漏えいが発生した場合という要件は疑問である。本人にとって、自分の個人情報が事業者から流出して第三者に暴露されたことによる被害は、同時に個人情報が漏えいした個人の人数によって大小するということにはならないのではないか。同時に漏えいした人数が多ければ多いほどその被害が希釈化される、とは思われない。ほうの事務処理が追いつかなくなるという側面もあろう。報告が速報と確報の2段階で求められ、速報の後30日(前述(3)の場合は60日)以内に確報を行わなければならないとされている点について、30日や60日という期限はかなりタイトであるという問題もある。デジタル・フォレンジック関連事業者にとっても、この期限でインシデント発生企業を支援しなければならないということになると、対応が困難という事態が発生するかもしれない。報告・本人への通知の義務化は、デジタル・フォレンジックの役割をさらに大きくすると共に、デジタル・フォレンジック関連事業者の実務にも影響を与えることは避けられない。改正法施行後の状況も注視したいと考えている。登録内容変更フォームお気軽にお問い合わせください。